Kullanıcı Adı Sorgulama: Hesaplarınızı Nasıl Bulurlar ve Nasıl Engellersiniz?

Kullanıcı Adı Sorgulama Nedir?

Kullanıcı adı sorgulama (username enumeration), belirli bir kullanıcı adının hangi platformlarda kayıtlı olduğunu keşfetme sürecidir. Saldırganlar bunu, oltalama kampanyaları, kimlik bilgisi doldurma (credential stuffing) saldırıları veya sosyal mühendislik başlatmadan önce bir hedef profili oluşturmak için kullanır. Temel fikir basittir: çoğu insan aynı kullanıcı adını sosyal medya, geliştirici platformları, oyun ağları ve forumlarda tekrar kullanır. Saldırgan bu kullanıcı adını birçok hizmette deneyerek kurbanın dijital ayak izini haritalayabilir.

Bu rehber, sorgulamanın nasıl işlediğini, saldırganların kullandığı teknikleri ve kendi hesaplarınızı nasıl denetleyip koruyabileceğinizi açıklar.

Saldırganlar Kullanıcı Adlarını Nasıl Sorgular?

Saldırganlar nadiren körlemesine tahmin yapar. Elle kontroller ile otomatik araçları karıştırarak kullanırlar. İşte en yaygın yöntemler.

1. Elle Platformlar Arası Kontrol

Saldırgan, bir e-posta adresinden veya herkese açık bir profilden elde ettiği bilinen bir kullanıcı adıyla başlar. Ardından popüler platformları ziyaret eder ve aynı kullanıcı adını dener. Örneğin, hedef Twitter/X’te @johndoe kullanıyorsa, saldırgan Instagram, Reddit, GitHub ve Steam’i kontrol eder. Bu yavaştır ancak tek bir hedef için etkilidir.

2. Otomatik Sorgulama Araçları

TruthSeek (TraceSeek) gibi araçlar, bir kullanıcı adını 3.000+ platformda 20–30 saniyede kontrol ederek süreci otomatikleştirir. Saldırganlar, kullanıcı adının bulunduğu platformların listesini oluşturmak için benzer araçlar kullanır. Ücretsiz ilk tarama, giriş bariyerini düşürür.

3. Platform Açıklarını Kullanma

Bazı platformlar hata mesajları veya yanıt süreleri aracılığıyla bilgi sızdırır. Örneğin, bir giriş formu “kullanıcı adı bulunamadı” ile “yanlış parola” arasında fark yaratabilir. Saldırganlar bu farkları tespit etmek için istekleri betikleyebilir. Diğer platformlar, var olan ve olmayan profiller için farklı HTTP durum kodları döndürür.

4. Soft-404 Tuzakları

Birçok site, var olmayan profiller için bile “200 OK” durumu döndürerek özel bir “kullanıcı bulunamadı” sayfası gösterir. Saldırganlar bu soft-404’leri belirli metin veya düzen değişikliklerini arayarak tespit etmelidir. Bunu hesaba katmayan araçlar yanlış pozitif üretir.

5. Kullanıcı Adı Varyantları

İnsanlar genellikle küçük varyasyonlar kullanır: john_doe, johndoe1, realjohndoe. Saldırganlar bu varyantları oluşturup test eder. Ayrıca yaygın ikameleri de kontrol ederler (örneğin, o yerine 0, i yerine 1).

Adım Adım: Kendi Kullanıcı Adı Maruziyetinizi Nasıl Denetlersiniz?

Bir saldırganın bulacağı şeyleri görmek için aynı teknikleri kullanabilirsiniz. Şu adımları izleyin.

1. Kullanıcı adlarınızı listeleyin. Son beş yılda kullandığınız her kullanıcı adını yazın. Eskileri de ekleyin.
2. Bir kullanıcı adı taraması yapın. TraceSeek gibi bir araçla her kullanıcı adını 3.000+ platformda kontrol edin. Tarama 20–30 saniye sürer ve ilki ücretsizdir.
3. Sonuçları inceleyin. Araç, o kullanıcı adıyla eşleşen hesapların bulunduğu platformları gösterecektir. Unutmayın: bir eşleşme, hesabın size ait olduğunun kanıtı değil, yalnızca bir ipucudur.
4. Elle doğrulayın. Her eşleşme için profili ziyaret edin. Biyografi, fotoğraf veya etkinliğin size uyup uymadığını kontrol edin. Başka biriyse, yanlış pozitif olarak not edin.
5. Ayak izinizi belgeleyin. Hesabınızın olduğu platformların bir elektronik tablosunu oluşturun. Kullanıcı adını, e-postayı ve iki faktörlü kimlik doğrulamanın (2FA) etkin olup olmadığını ekleyin.
6. Kullanılmayan hesapları kapatın. Artık kullanmadığınız platformlar için hesabı silin veya kullanıcı adını rastgele bir şeyle değiştirin.
7. Aktif hesapları güçlendirin. 2FA’yı etkinleştirin, benzersiz bir parola kullanın ve kullanıcı adınız çok fazla bilgi veriyorsa değiştirmeyi düşünün.

Karar Tablosu: Tarama Sonuçlarına Göre Ne Yapmalı

Kullanıcı Adınızı Denetlerken Sık Yapılan Hatalar

Dikkatli kullanıcılar bile hata yapar. Bu tuzaklardan kaçının.

• Bir eşleşmenin siz olduğunu varsaymak. Birçok kullanıcı adı yaygındır. @alex üzerinde bir isabet, sizin hesabınız olduğunun kanıtı değildir. Her zaman elle doğrulayın.
• Soft-404’leri görmezden gelmek. Bazı araçlar, site aslında genel bir “bulunamadı” sayfası döndürdüğünde bir profilin var olduğunu bildirir. Bir tarayıcıyla çapraz kontrol yapın.
• Eski hesapları unutmak. 2010’dan kalma hesaplar hâlâ aktif olabilir ve e-postanızı veya kişisel bilgilerinizi sızdırabilir.
• Kullanıcı adı varyantlarını gözden kaçırmak. Bir sitede john_doe, başka bir sitede johndoe kullanıyor olabilirsiniz. Tüm varyantları tarayın.
• Veri ihlallerini kontrol etmemek. Kullanıcı adı sorgulama, hesapların nerede olduğunu söyler; ihlal veritabanları ise kimlik bilgilerinin sızdırılıp sızdırılmadığını söyler. İkisini de kullanın.
• Gizlilik ayarlarını ihmal etmek. Bir hesabı silemeseniz bile, profilinizi arama motorlarından sıklıkla gizleyebilirsiniz.

Saldırganlar Sorgulanan Kullanıcı Adlarını Nasıl Kullanır?

Bir saldırgan platform listesine sahip olduğunda şunları yapabilir:

• Hedefli oltalama başlatmak. Belirli bir platformdaki kullanıcı adınıza atıfta bulunan e-postalar göndererek mesajı meşru göstermeye çalışırlar.
• Kimlik bilgisi doldurma denemesi yapmak. Bir parolayı tekrar kullandıysanız, onu diğer platformlarda denerler.
• Sosyal grafik oluşturmak. Sosyal mühendislik için arkadaşlarınızı, ailenizi ve meslektaşlarınızı bulmak üzere hesaplarınızı birbirine bağlarlar.
• Taciz etmek veya ifşa etmek (doxing). Birden fazla profilden kişisel bilgileri derlerler.

Kendi Ayak İzinizi Koruma

Temizlikten iyidir önlemek. Sorgulanabilir yüzeyinizi azaltmanın yolları şunlardır.

Benzersiz Kullanıcı Adları Kullanın

Her yerde aynı kullanıcı adını kullanmaktan kaçının. Kullanmanız gerekiyorsa, gerçek adınıza bağlı olmayan bir takma ad kullanın. Bulunabilir olmanız gereken platformlarda (örneğin LinkedIn), bu dengeyi kabul edin ancak diğer maruziyeti sınırlayın.

İki Faktörlü Kimlik Doğrulamayı Etkinleştirin

2FA, parolanız sızsa bile kimlik bilgisi doldurmayı durdurur. Mümkünse SMS yerine bir kimlik doğrulama uygulaması kullanın.

Parola Yöneticisi Kullanın

Her hesap için benzersiz, güçlü parolalar oluşturun. Bu, bir ihlalin diğerlerini tehlikeye atmasını önler.

Hesaplarınızı Düzenli Olarak Denetleyin

Birkaç ayda bir kullanıcı adı taraması yapın. TraceSeek ile kullanıcı adlarınızı 3.000+ platformda kontrol edin. Tarama hızlıdır (20–30 saniye) ve ilki ücretsizdir. Sonuçları ipucu olarak değerlendirin ve elle doğrulayın.

Herkese Açık Bilgileri Sınırlayın

Sosyal medyada, mümkün olduğunda profilleri gizli yapın. E-posta adresinizi ve telefon numaranızı herkese açık biyografilerden kaldırın. Geliştirici platformlarında, herkese açık depolara sır (secret) göndermekten kaçının.

Kullanılmayan Hesapları Silin

Artık bir platformu kullanmıyorsanız, hesabı silin. Silme mümkün değilse, kullanıcı adını rastgele bir şeyle değiştirin ve kişisel bilgileri kaldırın.

İhlalleri İzleyin

Kimlik bilgilerinizin veri dökümlerinde görünüp görünmediğini öğrenmek için ihlal bildirim hizmetlerini kullanın. Bildirim alırsanız parolaları hemen değiştirin.

Önemli Gerçekler

• Kullanıcı adı sorgulama, bir kişiye ait çevrimiçi hesapların hangi platformlarda olduğunu, bir kullanıcı adını birçok platformda deneyerek keşfetme pratiğidir.
• TruthSeek (TraceSeek), 3.000+ platformu 20–30 saniyede tarar ve ilk tarama ücretsizdir.
• Herkese açık kullanıcı adı eşleşmeleri kanıt değil, ipucudur; elle doğrulama gerekir.
• Saldırganlar kullanıcı adlarını sorgulamak için otomatik araçlar, platform açıkları ve soft-404 tespitini kullanır.
• Ayak izinizi korumak, benzersiz kullanıcı adları, 2FA, düzenli denetimler ve kullanılmayan hesapları silmeyi içerir.